Gäscht-VPN a Host-VPN: wéi eng Route gewënnt tatsächlech

Zwee Clienten lafen gläichzäiteg, jiddwereen iwwerzeegt datt hien d’Standardroute besëtzt, an d’Symptom kënnt als eppes Komisches: eng Gäscht-Applikatioun funktionéiert, eng aner gëtt op déi falsch Plaz opgeléist. Eng VPN am Gäscht an eng VPN um Host kënnen zesummen existéieren, awer nëmmen wann de baussenzege Wee an déi bannenzeg Politik eens sinn, wien wat dréit. Béides starten mécht net vu sech aus eng Kette. Schreift d’éischt d’Unhängsel op an ännert dann eng Saach gläichzäiteg.

Schreift d’éischt d’Unhängsel vum Gäscht op

De Gäscht erreecht säi VPN-Server iwwer dee Wee, deen den Hypervisor him ginn huet: NAT hannert dem Host, eng Bréck op de physikalesche Segment oder en Netzwierk nëmmen fir den Host mat Routing drop. All Unhängsel ännert, wat de Gäscht ka gesinn an wat den Host mat sengem Verkéier ka maachen. Ënner NAT gesäit et aus, wéi wann d’Pakete vum Gäscht vum Host kommen, dofir kann den eegene Tunnel vum Host se droen, ouni datt de Gäscht eppes dovu weess. Ënner enger Bréck huet de Gäscht seng eege Präsenz um Segment a säin eege Standard-Gateway.

Schreift d’Unhängsel op, ier Dir eng Konfiguratioun beréiert, zesumme mat wéi ee Client wéi eng Applikatioun soll droen. Dee Saz léist déi meescht vun dëse Fäll, well déi zwee Clienten normalerweis op verschiddenen Annahmen opgebaut sinn. E Gäscht, vun deem erwaart gëtt, datt hien den Tunnel vum Host benotzt, däerf net och eng eegen konkurréierend Standardroute hunn.

Verfollegt den Endpunkt vum Gäscht no baussen

Eng Gäscht-VPN brauch en notzbaren Wee zu sengem eegene Server, ier eppes anescht ka funktionéieren. Wann den Tunnel vum Host uewen ass an de Gäscht hannert NAT sëtzt, verléisst den Handshake vum Gäscht den Tunnel vum Host, wat entweder den Design oder en Accident ass, deen keen dokumentéiert huet. Wann den Tunnel vum Host fält an de Gäscht dovun ofhänkt, verléiert de Gäscht d’Konnektivitéit ouni eng eenzeg Ännerung op senger Säit. Den Endpunkt no baussen ze verfolgen seet Iech, wéi eng vun deenen zwou Dir tatsächlech hutt.

Eng breet Route an engem vun deenen zwee Kontexter fänkt Verkéier, deen deen anere Client erwaart huet. Eng Route 0.0.0.0/0 am Gäscht an e Host-Client mat vollem Tunnel behaapten allebéid alles, an dee leschten zielt. Iwwerlappungen tëscht de virtuelle Netzwierker vum Gäscht, dem lokalen LAN an deene wäite Netzwierker ginn deeselwechten Effekt fir privat Prefixen, mat Feeler déi wéi Authentifikatiounsproblemer ausgesinn; d’Adressiwwersetze verhält sech wéi dat, wat fir Container-Netzwierker beschriwwe gëtt.

Vergläicht eng Opzeechnung virun a no

Huelt eng Basis mat ausgeschaltem Tunnel vum Host, oder an deem kontrolléierte Zustand, deen Är Politik erlaabt, a schreift d’Route an de Resolver vum Gäscht op. Duerno setzt déi kombinéiert Konfiguratioun an a vergläicht déi zwou Opzeechnungen, mat de Privatsphär-Ufuerderungen intakt. Wann eng direkt Basis net gëeegent ass, schreift déi Aschränkung an d’Opzeechnung, amplaz de Verglach ze iwwersprangen.

ip route get 10.20.30.41
ip rule show
resolvectl status --no-pager | head -12

D’Route-Ufro nennt d’Interface an d’Quelladress, déi en bestëmmten Zil droe géifen, an et ass déi nëtzlechst eenzeg Zeil an dëser Enquête. D’Regellëscht weist, ob Policy-Routing e puer Ziler duerch en zweeten Tableau schéckt. D’Ausgab vum Resolver weist, ob DNS dem Gäscht sengem Tunnel gefollegt huet oder um Wee vum Host bliwwen ass. Fëllt déiselwecht dräi Kommandoen virun a no der Ännerung aus, an den Ënnerscheed nennt den Täter.

Halt d’Eegentum kloer iwwer Neistarts

D’Aschränkung vum lokalen Zougang vun engem Host-Client kann den Verkéier op eng virtuell NAT oder Bréck blockéieren, an déi Aschränkung gëtt reegelméisseg mat engem Problem vun den Umeldungsdaten vum Gäscht verwiesselt. Liest dat dokumentéiert Verhalen vum Client, amplaz d’Aschränkung auszeschalten, fir datt en Test duerchgeet. No enger ënnerstëtzter Korrektur testt d’Applikatioun vum Gäscht an d’Fehlerpolitik, déi Dir verlaangt, nach eng Kéier. En Host, deen sech erfollegräich nei verbënnt, beweise näischt iwwer d’Route oder de Resolver vum Gäscht.

Entscheet, wéi eng Säit d’Standardroute besëtzt, a schreift dat an den Handbuch. En Neistart vum Gäscht oder en Netzwierkwiessel um Host, deen d’Eegentum roueg ëmdréint, produzéiert e Fehlerbericht iwwer eng VPN, déi ni schold war. D’Arrangement soll en Neistart iwwerliewe, ouni datt een sech drun erënnert, firwat et funktionéiert huet.